تقوية السيرفر: قائمة شاملة 2026

قائمة تأمين السيرفر 2026: دليل شامل

تأمين السيرفر ليس خطوة واحدة تنفذها وتنسى. هو عملية مستمرة تبدأ من لحظة تفعيل السيرفر وما تتوقف. في 2026، الهجمات أصبحت أكثر تطوراً: هجمات آلية تستهدف السيرفرات خلال دقائق من إطلاقها، وبرمجيات خبيثة تستغل ثغرات لم تُرقّع بعد.

هذه القائمة مبنية على معايير CIS Benchmarks ومتطلبات الهيئة الوطنية للأمن السيبراني (NCA)، مع تطبيقات عملية لبيئة السيرفرات السعودية.

المرحلة الأولى: بعد التفعيل مباشرة (أول 30 دقيقة)

تحديث النظام

# Ubuntu/Debian
apt update && apt upgrade -y

# AlmaLinux/Rocky
dnf update -y

هذه الخطوة الأولى قبل أي إعداد آخر. السيرفر الجديد قد يحتوي على ثغرات معروفة في الحزم المثبتة مسبقاً.

تغيير منفذ SSH

# /etc/ssh/sshd_config
Port 2222 # أي رقم بين 1024-65535

المنفذ الافتراضي (22) يتعرض لآلاف محاولات الاختراق يومياً. تغييره يقلل الهجمات الآلية بنسبة 95%.

إنشاء مستخدم غير root

adduser cloudadmin
usermod -aG sudo cloudadmin

لا تستخدم root للعمل اليومي. أنشئ مستخدم بصلاحيات sudo واستخدمه بدلاً من root.

تعطيل دخول root عبر SSH

# /etc/ssh/sshd_config
PermitRootLogin no
PasswordAuthentication no

بعد إعداد مفاتيح SSH، عطّل الدخول بكلمة المرور نهائياً.

المرحلة الثانية: جدار الحماية (أول ساعة)

إعداد UFW (Ubuntu)

ufw default deny incoming
ufw default allow outgoing
ufw allow 2222/tcp # SSH (المنفذ الجديد)
ufw allow 80/tcp # HTTP
ufw allow 443/tcp # HTTPS
ufw enable

إعداد firewalld (AlmaLinux/Rocky)

firewall-cmd --permanent --remove-service=ssh
firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
firewall-cmd --reload

القاعدة: افتح فقط المنافذ التي تحتاجها. كل منفذ مفتوح هو نقطة دخول محتملة.

المرحلة الثالثة: الحماية من الاختراق

تثبيت Fail2Ban

apt install fail2ban -y

إعداد Fail2Ban لحظر عناوين IP بعد محاولات دخول فاشلة:

# /etc/fail2ban/jail.local
[sshd]
enabled = true
port = 2222
maxretry = 3
bantime = 3600
findtime = 600

بعد 3 محاولات فاشلة خلال 10 دقائق، يُحظر العنوان لمدة ساعة.

تثبيت ClamAV (فحص الفيروسات)

apt install clamav clamav-daemon -y
freshclam # تحديث قاعدة البيانات

جدولة فحص يومي:

# crontab -e
0 3 * * * clamscan -r /var/www --log=/var/log/clamav/daily.log

المرحلة الرابعة: تأمين التطبيقات

تأمين Nginx

# إخفاء إصدار السيرفر
server_tokens off;

# رؤوس أمنية
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header Content-Security-Policy "default-src 'self'" always;

تأمين MySQL/MariaDB

mysql_secure_installation

هذا الأمر يزيل المستخدمين المجهولين، يعطّل دخول root عن بعد، ويحذف قاعدة البيانات الاختبارية.

تأمين PHP

# php.ini
expose_php = Off
display_errors = Off
log_errors = On
allow_url_fopen = Off
disable_functions = exec,passthru,shell_exec,system,proc_open,popen

المرحلة الخامسة: المراقبة والتنبيهات

الأداة	الوظيفة	الترخيص
Fail2Ban	حظر محاولات الاختراق	مجاني
Logwatch	تقارير يومية عن السجلات	مجاني
Netdata	مراقبة الأداء لحظياً	مجاني
OSSEC	كشف التسلل	مجاني
Lynis	تدقيق أمني شامل	مجاني

تفعيل تنبيهات البريد

apt install mailutils -y

اربط Fail2Ban و Logwatch بعنوان بريدك لتلقي تنبيهات فورية عن أي نشاط مشبوه.

المرحلة السادسة: النسخ الاحتياطي

• يومي: نسخة كاملة من قواعد البيانات + ملفات التطبيق
• أسبوعي: نسخة كاملة من النظام بالكامل
• خارج السيرفر: النسخ الاحتياطي على نفس السيرفر لا يحميك من عطل الهاردوير

في كلاود (cloud.net.sa)، خدمة النسخ الاحتياطي متاحة كإضافة بدءاً من بأسعار مناسبة — الأسعار والباقات مع احتفاظ 7 أيام، أو بأسعار مناسبة — الأسعار والباقات مع احتفاظ 30 يوماً.

المرحلة السابعة: التحديثات الدورية

# تفعيل التحديثات الأمنية التلقائية (Ubuntu)
apt install unattended-upgrades -y
dpkg-reconfigure -plow unattended-upgrades

جدول التحديثات المقترح

النوع	التكرار	ملاحظات
تحديثات أمنية	فوري/تلقائي	لا تؤجل أبداً
تحديثات النظام	أسبوعي	اختبر قبل التطبيق
تحديثات التطبيقات	شهري	مع نسخة احتياطية قبل التحديث
مراجعة شاملة	ربع سنوي	تدقيق كامل بـ Lynis

قائمة التحقق النهائية

• [ ] تحديث النظام بالكامل
• [ ] تغيير منفذ SSH
• [ ] تعطيل دخول root عبر SSH
• [ ] تفعيل المصادقة بمفاتيح SSH فقط
• [ ] إعداد جدار الحماية (UFW/firewalld)
• [ ] تثبيت وإعداد Fail2Ban
• [ ] تأمين خادم الويب (Nginx/Apache)
• [ ] تأمين قاعدة البيانات
• [ ] تأمين PHP
• [ ] إعداد النسخ الاحتياطي
• [ ] تفعيل التحديثات التلقائية
• [ ] إعداد المراقبة والتنبيهات
• [ ] فحص أمني شامل بـ Lynis

نفّذ هذه القائمة خطوة بخطوة على كل سيرفر جديد. في كلاود، السيرفر يكون جاهزاً خلال دقيقة بعد الدفع — ابدأ التأمين فوراً.

---

ابدأ الآن

تبي بيئة آمنة لتطبيقاتك؟ اختر سيرفر محمي بحماية DDoS وجدار ناري متقدم. راجع اتفاقية مستوى الخدمة وسياسة الخصوصية.